同类安全缺陷反复出现，怎样体现ISSE-CMM持续改进的重点？

正确答案 A

五级强调依据业务目标和当前过程能力建立量化改进目标，分析缺陷原因并改变过程、验证效果。A体现这一重点；B、C、D分别偏向当前修复、执行符合性和标准化。

这一题不要停在“把漏洞补上”。补好当前接口当然必要，但多个项目都漏同一项，还要追问为什么评审过程没拦住它。比如因果分析确认，评审清单漏了对象级权限检查，且责任交接有空档，就应改进清单与责任安排，再观察后续项目的复发情况和投入效果。这个原因是举例，实际不能不调查就断言一定是清单问题。改进也不能只说“下次做好些”：教材五级要求结合业务目标和当前过程能力建立量化改进目标。例如在可比范围内降低同类缺陷复发率，同时关注评审投入，具体目标值须有业务依据，不能随手编一个百分比。A将目标、原因、过程调整和效果验证联系起来。B是当前缺陷闭环，C核查是否按原过程执行，D建立可裁剪的标准过程，都有用，但没有直接体现本题所问的持续改善过程效能。一次分析或修订不能证明全部五级要求都已满足，也不能承诺以后零缺陷。

选项分析

A

以量化改进目标约束工作，从共因入手改变组织过程并验效果，最直接体现持续改进级的重点。

B

修复、复测和关闭记录是必要的缺陷处理，但本次产品修好不等于反复遗漏的过程原因已消除。

C

检查执行一致性并纠偏有价值，但按原检查表做得更一致，不等于原过程中的共同缺口已改进。

D

标准步骤和裁剪主要体现充分定义过程；还需因果分析、量化改进目标及效果验证才能回答本题。

再巩固一步

• 把当前修复与过程改进分两步答：先控制现有问题，再找共同原因、改过程、验效果。